Здравствуйте, уважаемые читатели моего блога!
Эта заметка сделана в первую очередь для моих коллег, пострадавших от ошибок конфигурации, но для людей, которые просто зашли почитать, возможно, тоже будет любопытно.
Всё началось с того, что товарищи начали массово жаловаться на невозможность добавить новые флешки через графическую оболочку Astra Linux (1.6 или 1.7 было не так важно – симптом один).
Вот как это выглядит на практике на примере двух сообщений:
Создание новых правил udev из файлов локальной конфигурации – отказ.
Процесс “/usr/sbin/pdac-adm commit”. Код возврата: 246.
Из скриншотов коллег я видел, что “Политике безопасности” не хватает прав. При этом запускалась она от пользователя входящего в группу astra-admin под высоким уровнем целостности – всё должно работать “из коробки”, но не работает.
Давайте подумаем, как можно реализовать такое событие, если бы мы хотели поломать систему специально?
1. Самое простое, использовать дискреционные права доступа (chmod), забрав все права на каталог /etc/udev/rules.d.
2. Далее, можно использовать расширенные права (ACL) и также запретить редактирование каталога setfacl.
3. Ещё можно присвоить каталогу метки МКЦ и МРД (что совсем уж вредительство) и так же не дать писать в этот каталог.
4. Кроме того, можно монтировать корневой раздел для чтения, чем чёрт не шутит.
5. А можно использовать атрибуты файловой системы (chattr +i) и каталог rules.d будет нельзя модифицировать (immutable). Вот это и произошло с системами коллег.
А может и у меня тоже самое? – спросит молодой специалист. Возможно!
Чтобы проверить, выполни команду (увидишь букву i среди минусов, значит у тебя также):
sudo lsattr /etc/udev/rules.d
Но давайте ещё рассмотрим, как вообще работает механизм разрешения флешек в Astra Linux.
Есть графическая оболочка, которая читает список разрешенных флешек и редактирует его, использую текстовый файл /etc/parsec/PDAC/devices.cfg. Это что-то типа текстовой базы данных для зарегистрированных носителей.
К слову не плохо бы защищать этот файл, чтобы инсайдеры не знали всей базы (так как флешки легко прошиваются под нужные номера, на сайте есть материал, но ссылку делать не буду, полистайте, вдруг что-то интересное найдёте).
Графический интерфейс, сохраняя изменения в эту базу, инициирует запуск программы-парсера pdac-adm, которая разбирает файл и генерирует правила udev, удаляя старые правила.
К слову, удобно редактировать файл devices.cfg с помощью систем управления конфигурацией (например, ansible), а не руками через графику. Это не уровень, коллеги (ну только если в гостях в других филиалах).
Но вернёмся к тому, как решить проблему и отменить атрибут -i.
Всё просто:
sudo chattr -iR /etc/udev/rules.d
ИИ продолжает убивать желание писать, так как через пару дней Алиса начнёт выдавать эту инструкцию в поиске, разместив ссылку на мой сайт ниже, которую никто не нажмёт.
К слову, сайт стоит 750 рублей в месяц, а реклама даёт около 300 рублей в месяц.
Если Вам помогла заметка, помогите и Вы, отправив любую сумму по форме ниже:
На этом я прощаюсь с Вами!
Всем всех благ и до новых встреч!
Берегите себя!
